Palomuurin käyttäminen linux-ympäristössä

Tässä moduulissa harjoitellaan palomuurisäännösten konfigurointia Linux-maailmassa. Käynnistä alla oleva labra ja toista vaiheet perässä.

Teoriaa

Palomuurin hallinta Debian-ympäristössä tapahtuu usein käyttäen iptables-työkalua tai korkeammalla tasolla ufw (Uncomplicated Firewall) -työkalua. Katsotaan ensin hieman, mitä nämä ovat.

iptables

iptables on Linuxin ytimessä oleva palomuurin hallintaan tarkoitettu työkalu. Se antaa sinulle tarkan hallinnan siitä, miten verkkoliikennettä suodatetaan ja ohjataan, pakettien NAT-käsittely mukaan lukien.

Yleiset käsitteet:

• Chains (ketjut): iptables käyttää käsitteitä nimeltä "ketjut", jotka määrittävät, mitä tapahtuu tietyn tyypin liikenteelle.
• Rules (säännöt): Jokainen ketju koostuu säännöistä, jotka määrittävät, miten liikennettä käsitellään.

Esimerkki:

# Estä kaikki saapuvat yhteydet muualta kuin paikallisesta liikenteestä
sudo iptables -P INPUT DROP

# Salli kaikki lähtevät yhteydet
sudo iptables -P OUTPUT ACCEPT

# Salli liikenne paikallisessa liikenteessä
sudo iptables -A INPUT -i lo -j ACCEPT

Tämä on vain yksinkertainen esimerkki. iptables-säännöt voivat olla monimutkaisempia tarpeista riippuen ja niitä voi määrittää monilla eri tavoilla.

ufw (Uncomplicated Firewall)

ufw on iptables:n yksinkertainen käyttöliittymä, joka tekee palomuurin hallinnasta helpompaa. Se on usein asennettuna Debian-järjestelmissä ja se voi helpottaa perustason palomuurin hallintaa.

Esimerkki:

ufw sisältää valmiita sääntöjä tunnetuille palveluille, kuten SSH, ja se helpottaa uusien sääntöjen lisäämistä.

Harjoitus

Suoritetaan seuraavaksi harjoitus, missä asennetaan ensin ufw-työkalu ja määritetään tällä sitten selkeät palomuurikonfiguraatiot. Käynnistä alla oleva labra ja toista vaiheet perässä.

Asennetaan ufw-työkalu

Aloitetaan asentamalla ufw-työkalu. Ota yhteys kohdepalvelimelle ja aja seuraava komento:

sudo apt update && sudo apt install ufw -y

Estetään kaikki sisäänpäin tulevan liikenteen portit paitsi SSH ja HTTP(S)

Ajetaan kohdepalvelimella seuraavat komennot:

sudo ufw allow ssh
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

sudo ufw default deny incoming
sudo ufw default allow outgoing

sudo ufw enable

Ensin sallitaan halutut portit, eli SSH, HTTP ja HTTPS. Sitten varmistetaan, että oletusarvoisesti estetään kaikki sisääntuleva (paitsi sallitut) ja sallitaan kaikki ulos tuleva liikenne. Lopuksi asetetaan palomuuri päälle. Huom! - Tällä hetkellä labraympäristö ei tue tämän käyttöä, joten ei kannata välittää virheilmoituksista. Ikävä kyllä, tällä hetkellä et voi todentaa palomuurin toimintaa käytännössä.

Voit katsoa säännöt ajamalla komennon:

sudo ufw show added

Jos kaikki on tehty oikein, pitäisi tulosteen näyttää seuraavalta:

Mitkä portit on sallittu alla olevassa konfiguraatiossa?

ufw allow 80/tcp
ufw allow 443/tcp
ufw allow 4444
ufw allow 22/tcp